【安防知識(shí)網(wǎng)】從2008年歐美有研究人士公布Mifare I卡有安全漏洞，可以破解或復(fù)制后，引起社會(huì)一片嘩然。特別是去年底和今年初，我國(guó)有關(guān)部門專門針對(duì)Mifare I卡的安全性問題下發(fā)有關(guān)文件后，使用Mifare I卡的單位，特別是政府機(jī)關(guān)、軍隊(duì)和城市公交一卡通部門給予了高度重視，全面調(diào)查Mifare I卡的使用狀況，部分門禁已經(jīng)停用，城市公交一卡通部門也都在籌劃著各自的升級(jí)方案。
其實(shí)Mifare I卡的安全性問題是個(gè)技術(shù)性問題，我們首先要從技術(shù)和市場(chǎng)的角度理性地看待分析，從而評(píng)估使用Mifare I卡系統(tǒng)的安全性，為尋找正確的解決方案打下基礎(chǔ)。
首先，Mifare I卡是非接觸式的邏輯加密IC卡。IC卡從安全性角度可分為存儲(chǔ)卡、邏輯加密卡和CPU加密卡，而從讀寫接口方式可分為接觸式IC卡和非接觸式IC卡。CPU加密卡內(nèi)含CPU芯片，它不僅處理卡片內(nèi)的文件管理，而且也提供加密算法處理，大大提供了卡片的安全性。而邏輯加密卡，從理論上說(shuō)，一定是能破解，特別是隨著計(jì)算機(jī)性能的提高和人們對(duì)加密算法的研究，破解所需時(shí)間不斷縮短。這次Mifare I卡安全性問題的出現(xiàn)正是由于其占絕對(duì)優(yōu)勢(shì)的市場(chǎng)占有率引起了某些專業(yè)人士的特別關(guān)注，甚至從IC電路晶元的深度去研究Mifare I卡的芯片，獲取了其加密的基本機(jī)制。市場(chǎng)上同樣的非接觸式邏輯加密卡，其安全水平總體來(lái)說(shuō)是一致的，都存在被破解的可能性。
其次，從用戶角度來(lái)說(shuō)，系統(tǒng)的安全性不僅僅取決于卡片的安全性。IC卡應(yīng)用系統(tǒng)是由卡片及卡片數(shù)據(jù)結(jié)構(gòu)、讀寫機(jī)具及控制軟件、網(wǎng)絡(luò)和計(jì)算機(jī)(服務(wù)器或工作站)及管理軟件組成的。系統(tǒng)的安全性是上述各個(gè)環(huán)節(jié)的集成。[nextpage]
首先，同樣是Mifare I卡，卡片的基本加密機(jī)制是由NXP決定的，但是在具體應(yīng)用中，不同的系統(tǒng)集成商或機(jī)具制造商采用的密鑰體系是不一樣的，可以是整個(gè)系統(tǒng)采用一個(gè)密鑰、也可能是一個(gè)應(yīng)用采用一個(gè)密鑰、還可以是一張卡一個(gè)密鑰或一張卡一個(gè)扇區(qū)一個(gè)密鑰。不同的密鑰體系設(shè)計(jì)，它們的安全等級(jí)是不同的。NXP公司在其關(guān)于Mifare I卡的安全性報(bào)告中就明確指出，采用卡片密鑰與卡片UID(Unique Identification Number)綁定的方式可以大大提高系統(tǒng)地安全性。
其次，管理軟件的密鑰體系及其數(shù)據(jù)傳輸中的加密機(jī)制同樣影響著系統(tǒng)的安全性。如果采用公鑰數(shù)字認(rèn)證加密系統(tǒng)，加密涵蓋數(shù)據(jù)傳輸、數(shù)據(jù)存儲(chǔ)、卡片讀寫的全過(guò)程，包括建立健全系統(tǒng)的管理制度，同樣可以提高系統(tǒng)的安全性。
再次，卡片數(shù)據(jù)結(jié)構(gòu)的設(shè)計(jì)也是系統(tǒng)的安全性要素之一。通常在安全的消費(fèi)系統(tǒng)設(shè)計(jì)時(shí)，系統(tǒng)會(huì)在每次讀卡消費(fèi)時(shí)在卡片、機(jī)具上記錄每張卡各自的消費(fèi)流水號(hào)，并返回?cái)?shù)據(jù)庫(kù)。一旦出現(xiàn)完全相同卡片的消費(fèi)，系統(tǒng)自動(dòng)驗(yàn)證消費(fèi)記錄時(shí)就會(huì)被發(fā)現(xiàn)，問題卡片將立刻被打入黑名單，用戶的損失可以得到有效控制。
而接觸式CPU卡應(yīng)用已經(jīng)形成了一些行業(yè)標(biāo)準(zhǔn)，并且得到了廣泛的應(yīng)用。在《建設(shè)事業(yè)集成電路(IC)卡應(yīng)用技術(shù)規(guī)范(CJ/T166-2006)》(下文簡(jiǎn)稱規(guī)范)中，定義CPU卡是指內(nèi)置CPU、程序存儲(chǔ)空間、數(shù)據(jù)存儲(chǔ)空間、加密邏輯電路以及操作系統(tǒng)(COS，i.e.，Chip Operation System)的微處理器卡。所有的操作都在操作系統(tǒng)的控制之下。數(shù)據(jù)元是指在存儲(chǔ)空間里存儲(chǔ)的每一個(gè)獨(dú)立的數(shù)據(jù)內(nèi)容或信息項(xiàng)。規(guī)范同時(shí)指出，CPU卡適用于對(duì)卡片的防偽性要求高、數(shù)據(jù)安全性高的應(yīng)用中，能夠非常有效地杜絕對(duì)卡片的非法復(fù)制、偽造，以及對(duì)卡上數(shù)據(jù)的非法讀寫、篡改等，適用于構(gòu)建一個(gè)高安全性的識(shí)別與支付的IC卡應(yīng)用系統(tǒng)。勞動(dòng)和社會(huì)保障部早在2000年頒布的《社會(huì)保障(個(gè)人)卡規(guī)范》和中國(guó)人民銀行頒布的《中國(guó)金融集成電路 (IC) 卡應(yīng)用規(guī)范(PBOC 2.0)》也都對(duì)接觸式CPU卡的使用給出了明確的定義和規(guī)范。而非接觸式CPU卡應(yīng)用的標(biāo)準(zhǔn)隨著非接觸CPU卡產(chǎn)品在近年的誕生還在不斷完善中。
Mifare I卡的安全性問題的出現(xiàn)實(shí)際上也是IC卡應(yīng)用技術(shù)不斷發(fā)展，市場(chǎng)應(yīng)用不斷擴(kuò)大的必然。我們一定要從技術(shù)和市場(chǎng)的角度理性看待。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團(tuán)旗下的專業(yè)媒體平臺(tái)，自1994年品牌成立以來(lái)，一直專注于安全&自動(dòng)化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場(chǎng)趨勢(shì)的專業(yè)媒體傳播和品牌服務(wù)。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國(guó)際行業(yè)展覽會(huì)資源以及豐富的媒體經(jīng)驗(yàn)，提供媒體、活動(dòng)、展會(huì)等整合營(yíng)銷服務(wù)。
粵公網(wǎng)安備 44030402000264號(hào)
